この記事では、Netskope Cloud Exchange (CE) プラットフォーム、特に Entra ID におけるシングルサインオン (SSO) の設定方法について説明します。これにより、プラットフォーム内で管理者を手動で設定するのではなく、既存のIDプロバイダー（IdP）内からCEへの管理者アクセスを管理できるようになります。
Cloud Exchangeは、お客様が通常利用できるNetskopeの標準テナントとは異なり、お客様の様々なセキュリティプラットフォームや運用プラットフォーム間での情報交換を容易にします。
再生ボタンをクリックして動画をご覧ください。
新しいエンタープライズアプリケーションを作成する
- Entra ID ポータル にアクセスし、使うEntra IDアカウントにサインインし、十分な権限(例えばアプリケーション開発者の役割)を持たせてください。
- Enterprise applicationsへ移動してください。
- Manage > All applicationsに移動してNew applicationをクリックしてください。
- [Microsoft Entra Gallery の閲覧] ペインを開くと、クラウド プラットフォーム、オンプレミス アプリケーション、および注目のアプリケーションのタイルが表示されます。「おすすめアプリケーション」セクションに掲載されているアプリケーションには、フェデレーション型シングルサインオン（SSO）およびプロビジョニングをサポートしているかどうかを示すアイコンが表示されています。Netskope Cloud Exchange Administration Consoleを検索して、アプリケーションを選択してください。
- アプリケーションのインスタンスを識別するために使用する名前を入力してください。 アプリケーションのインスタンスを識別するための名前です。 例えば、 Netskope Cloud Exchange 管理コンソール – SSO など。
- Createをクリックしてください。ギャラリーによっては、 Createボタンをクリックしたときにエラーが発生する場合がありますのでご注意ください。このエラーが表示された場合でも、アプリケーションは作成されているはずです。この問題が発生した場合は、エンタープライズアプリケーションビューに戻り、「更新」ボタンをクリックしてください。Netskope Cloud Exchangeアプリがリストに表示されるはずです。
Cloud Exchange SSO情報をコピーする
- Cloud Exchangeにログイン 管理者（スーパー管理者）アカウントで、 Settings > Usersに移動します（この設定エリアは管理者ユーザーのみに表示されます）。
- SSO ConfigurationタブSelect 、 SSOトグルONを切り替えます（この設定を必ず保存してください）。
- 画面下部の「サービスプロバイダー」欄にご注意ください。以下の画像は、Entra ID のどの SAML 設定フィールドにどの URL を使用すべきかを示しています。
Entra IDで役割を作成する
ユーザーには、割り当てられたロール (管理者 (読み取り/書き込みアクセス)、読み取り専用、またはモジュール固有の権限を持つカスタム管理者) に基づいて、 Cloud Exchange UI への読み取り/書き込みまたは読み取りのみのアクセスを割り当てることができます。 これらの役割をEntra IDで作成して、ユーザーに割り当てる必要がありますCloud Exchange 。
注記
これらの役割を作成してマッピングしないと、SSOは失敗します。
- メインのEntra IDページに戻ってください（エンタープライズアプリケーションページにはいないことを確認してください）。左側の「メニュ」からApp registrations Select 、 All applicationsをクリックして、リストからNetskope Cloud Exchangeアプリを選択します。
- 左側のパネルでApp Rolesをクリックし、次にCreate app roleをクリックします。管理者ユーザーの役割と、-専用ユーザーの役割の2つの役割を作成する必要があります。
管理者ロールは次のように作成します。
- 表示名には「CE-Admin」と入力してください（これは任意の名前で構いません）。
- 「許可されるメンバーの種類」では、最初のオプション「ユーザー/グループ」を選択してください。
- 「値」には
netskope-ce-write;netskope-ce-readを入力してください。必ず正確にコピー＆ペーストしてください。 - デスクリプションの場合は、
Provide the user with read/write access to Cloud Exchangeと入力します。 「このアプリの役割を有効にしますか？」を確認してください。オプションが選択されています。
- 次のように読む専用ロールを作成します。
- 表示名には「CE-ReadOnly」と入力してください（これは任意の名前で構いません）。
- 「許可されるメンバーの種類」では、最初のオプション「ユーザー/グループ」を選択してください。
- 「値」には
netskope-ce-readを入力してください。必ず正確にコピー＆ペーストしてください。 - デスクリプションの場合は、
Provide the user with read-only access to Cloud Exchangeと入力します。 「このアプリの役割を有効にしますか？」を確認してください。オプションが選択されています。
- Saveをクリックしてください。アプリの役割の設定が完了しました。
Entra IDでCloud Exchange Enterpriseアプリを設定する
- Entra IDのメインメニューからエンタープライズアプリケーションリストに戻り、 Netskope Cloud Exchangeを選択します。
- 左側のパネルでSingle sign-onをクリックし、プロンプトが表示されたらSAMLを選択してください。
SAML構成を提供する
- 基本SAML設定で、 Editをクリックします。Cloud Exchange SSO設定ページからサービスプロバイダーのURLを取得し、該当するEntra ID SAML設定フィールドに入力してください。対応表については、下記の表を参照してください。
Entra ID SAML Field Cloud Exchange Field 識別子（エンティティID） サービスプロバイダーエンティティID 返信URL（アサーションコンシューマーサービスURL） サービスプロバイダーACS URL サインオンURL サービスプロバイダーACS URL リレー状態 該当なし – 空欄のままにしてください ログアウトURL サービスプロバイダーSLS URL The Reply URL and Sign-on URL in Entra ID both use the Service Provider ACS URL from the Cloud Exchange portal. The Relay State field in Entra ID should be left blank.
- Saveをクリックしてください。
役割とユーザー名のクレームを追加する
Editをクリックし、 Attributes & ClaimsでAdd new claimをクリックします。
新しい請求を追加するには、次のようにします。
For Name, enter roles. Enter this exactly. Leave Namespace blank.
ソースについては、「属性」が選択されていることを確認してください（デフォルト）。
Source属性にはuser.assignedrolesを選択します。ドロップダウンリストから選択してください。
クレームを追加するには、 Saveをクリックしてください。
2つ目の役割を追加するには、同じ手順を繰り返してください。
For Name, enter username. Enter this exactly, Leave Namespace blank.
ソースについては、「属性」が選択されていることを確認してください（デフォルト）。
「ソース」属性には、ドロップダウンリストから「user.mail」を選択してください。クレームを追加するには、 Saveをクリックしてください。
2つの新しいクレームを追加すると、「属性と役割」は次のようになります。
SAML署名証明書をダウンロードする
SAML設定ページに戻り、SAML署名証明書までスクロールダウンして、ベース証明書をダウンロードするボタンをクリックします。
Entra IDアプリケーションのURLをコピーしてください。
Netskope Cloud Exchangeの設定画面で、ログインURL、ログアウトURL、およびEntra ID識別子URLをコピーします。次のセクションでは、これらの情報をCloud Exchangeユーザーインターフェースに貼り付ける必要があります。
Entra IDで最後に行うべき手順は、ユーザーやグループをCloud Exchangeアプリに割り当てて、アクセス権を付与することです。また、これらのユーザー/グループに、以前作成したRead-OnlyまたはAdmin役割を割り当てて、Cloud Exchange内で適切な権限を付与します。
- Cloud Exchange Enterprise Application の左側のパネルからUsers and groupsを選択し、次にAdd user/groupをクリックします。
- Cloud Exchangeアプリケーションへのアクセスを許可するユーザーおよび/またはグループSelect 。 Cloud Exchange アプリケーション。 選択したユーザー/グループには、CE-Admin（閲覧/書き込み）やCE-ReadOnly（閲覧専用）などのロールを割り当てる必要があります。
Caution
役割を割り当てない場合、ユーザーがサインインしようとした際にSSOは失敗します。また、リストに表示されているデフォルトの役割を割り当てないでください。割り当てると、SSOが失敗する原因となります。Entra ID で明示的に作成した役割のみを使用する必要があります。
ユーザー/グループと該当する役割を割り当てると、ユーザー/グループ一覧は次のようになります。
Cloud Exchange で SSO 設定を完了します
- Cloud Exchangeに戻ってSettings > Users > SSO Configurationへ行け。
- Cloud Exchange SSO設定の「IDプロバイダーURL」フィールドにアプリのURLを入力してください。Entra ID側でSAMLを設定する際にコピーした、対応するEntra IDアプリケーションのURLを貼り付けてください。マッピングについては、以下の表を参照してください。
Cloud Exchange Field Entra ID SAML Config Field IDプロバイダー発行者URL エントリーID識別子URL IDプロバイダーSSO URL ログインURL IDプロバイダーSLO URL ログアウトURL 
- SAML署名証明書を入力してください。以前Entra IDからダウンロードした基本SAML署名証明書を、メモ帳やTextEditなどのテキストエディタで開きます。MS Wordは使わないでください。 証明書には「.cer」という拡張子が付きます。拡大。
- 証明書ファイルの内容を、Cloud Exchange SSO設定の「公開x509証明書」フィールドにコピーします（上の画像を参照）。
- Saveをクリックしてください。
SSO構成をテストする
新しいシークレットウィンドウを開き（キャッシュに関する潜在的な問題を回避するため）、ブラウザでCloud Exchangeデプロイメントの URL にアクセスしてください。
このガイドの前半で説明したようにSSOチェックボックスを有効にした場合、Cloud Exchangeに接続する際に2つのオプションが表示されます。
- SSOでログインしてください。
- ユーザー名とパスワードでログインしてください。
SSOオプションは ローカルログイン（デフォルトの管理者ユーザー、またはCEのユーザーリストに手動で追加されたユーザーなど）用です。
 |
Login with SSO Select 。 ログインするには、Entra IDのページにリダイレクトされます。
 |
ユーザー クレデンシャルを入力すると、認証され、 Cloud Exchangeインターフェイスにリダイレクトされます。 以下の例では、AdeleユーザーにCE-ReadOnlyロールが割り当てられているため、 Settingsメニューのほとんどが非表示になっています。
 |
Entra IDを使用したCloud ExchangeのSSOのトラブルシューティング
サインインに問題がある場合は、まずどのプラットフォームでエラーが発生しているかを確認してください。Entra IDでしょうか、それともCloud Exchangeでしょうか？表示されているエラーがEntra IDからのものである場合、Entra ID側の設定に問題がある可能性が高いです。URLを再度確認するか、ログインしようとしているユーザーがアプリケーションに割り当てられているか（またはアプリケーションに割り当てられているグループに属しているか）を確認してください。
下の画像では、私のユーザーであるnathan@lightwave.cloudは、Entra IDでアプリケーションに割り当てられていなかったため、サインインできませんでした。
 |
Cloud Exchange からエラーが発生する場合は、CE または Entra ID に誤った URL が入力されているか、Entra ID にカスタムユーザー名とロールのクレームが追加されていないか、またはサインインしているユーザーにロールが割り当てられていない可能性があります。
エラー {“detail”:”Method Not Allowed”} が表示された場合は、Entra ID と Cloud Exchange の両方にコピーされた URL が正しく、適切な場所に配置されていることを確認してください。
エラー {“detail”:”認証できませんでした。ユーザー名/役割属性が設定されていません。},次に、SAML設定にユーザー名とロールのクレームを追加したこと、およびEntra IDのエンタープライズアプリケーションにユーザーを追加した際に、ユーザーにロールを正しく割り当てたことを確認してください。
 |
SSOは正常に通過したが、CEで「データ取得中にエラーが発生しました」という赤いメッセージが表示される場合は、ユーザーに割り当てたロールに問題があります。管理者ロール（CE-Admin）の属性にはnetskope-ce-write;netskope-ce-read 、閲覧専用ロール（CE-ReadOnly）の属性にはnetskope-ce-readを入力したことを確認してください。 さらに、影響を受けるユーザーにこれらの役割のいずれかが割り当てられていることを確認してください。デフォルトのユーザーロールが割り当てられている場合にも、このエラーが発生する可能性があります。
 |